Да ли VPN клијент на вашем веб серверу квари његове одговоре?

Страница се учитава са лаптопа на истој мрежи, а са свих других места долази до истека времена, а домаћин такође покреће VPN клијента за сопствени одлазни саобраћај. Та комбинација производи специфичан квар: долазна веза стиже, одговор излази погрешним путем, а клијент напољу никада не види одговор. Обе половине се виде у истом снимку пакета, па је редослед догађаја део који вреди прочитати.

Правило рутирања засновано на извору често отклања симптом. Оно обично изузима и више саобраћаја од странице која га је покренула, а то је део који вреди разумети пре него што сачувате правило.

Симптом: одговара локално, али не споља

Унутар мреже одговор не мора да пређе тунел, па се страница учитава и услуга изгледа здраво. Споља захтев стиже до домаћина, а одговор се рутира у VPN, где удаљени крај нема разлога да га прихвати. Прегледач види истек времена уместо одбијања, што је знак једносмерног пута, а не затвореног порта.

Потврдите облик пре него што промените рутирање: слушалац ради, локални захтев успева, а спољни захтев не даје никакав одговор. Та три запажања заједно упућују на повратни пут, а не на конфигурацију веб сервера. Тако чиста асиметрија кориснија је од било ког реда у дневнику, јер искључује слушаоца пре него што прочитате и једну поруку о грешци.

Држите отворен независан административни пут док радите. Правило које сломи вашу сопствену SSH сесију претвара поправку од десет минута у физичку посету.

Шта селектор извора заиста подудара

У Linux политичком рутирању, правило попут from 192.168.50.2 подудара пакете чији је извор та адреса. Оно не кодира чињеницу да пакет наставља разговор који је ушао кроз кућни рутер и не зна који га је процес створио. Адреса у том примеру је илустративна; замените је адресом коју ваш домаћин заиста користи. Третирајте ред као тврдњу о адресама и ништа више.

Ако изабрана табела даје обичну подразумевану руту, сваки пакет са тим извором може да узме исти изузетак. Друга услуга везана за исту адресу наслеђује га, а апликација која се намерно везује за ту адресу такође га наслеђује. Референца за правила политике наводи извор, одредиште, протокол, порт, ознаку и приоритет као одвојене селекторе, што подсећа да је сам извор најгрубљи доступни.

Приоритет одлучује исход. Претраге иду по реду и прва табела која да резултат може да заврши претрагу, па правило смештено прерано може да сакрије конкретнију руту коју би дала каснија табела. Прочитајте целу уређену листу, а не један ред који сте додали. Правило које се никада не подудара не кошта ништа, док оно које се подудара прерано тихо мења све иза себе.

Проверите повратни пут и саобраћај који нисте намеравали

Прочитајте правила и табеле, па питајте језгро који би пут узео одређени пар извора и одредишта. Тестирање са самог домаћина није исто као тестирање споља, зато урадите обоје.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Затим прихватите нову спољну везу и, одвојено, захтев који још мора да изађе кроз VPN. Ако други сада излази директно, изузетак је шири од проблема који сте решавали, а тест који је важан је онај који нисте намеравали да промените.

Провера јавне адресе у прегледачу извештава само о захтевима које је тај прегледач направио. Она не говори ништа о одговорима веб сервера, о избору извора друге локалне апликације или о томе шта се дешава са управљачким саобраћајем након следећег поновног повезивања VPN-а.

Одредите колико узак изузетак може бити

Два дизајна су одбрањива и треба их бирати намерно. Ако домаћин постоји да објави ову услугу, а његов одлазни саобраћај није важан, наменска локална адреса са политиком само за WAN разуман је аранжман под условом да прихватите цео обим. Ако би се квалификовале само одређене долазне везе, избор адресе је прегруб и испред њега припада дизајн свестан веза.

Забележите уговор на који се ослањате: јавно мапирање, адресу домаћина на коју се захтев доставља и пут којим одговор треба да иде. Долазна услуга објављена кроз VPN провајдера други је уговор од оне објављене кроз кућни рутер, а изузетак копиран из једног примера често је погрешан за други.

Чувајте политику у компоненти која поседује рутирање уместо да залепите команду у стартну датотеку. Редослед правила, чишћење након промене мреже и понављање након поновног покретања морају да преживе, а неиспробана стартна датотека обично закаже у тренутку када не гледате. Завршите резултатом прихватања који можете да одбраните: једна објављена страница обновљена и један неповезан ток непромењен.